企业官网建设流程全解析

简介：本资源是一套高分（95分以上）JavaWeb课程设计实战项目——校园志愿者管理系统源码与数据库，面向高校计算机专业学生及JavaWeb初学者，聚焦角色权限控制、志愿活动全流程管理与数据统计分析等核心教学难点。压缩包含638个文件，主体为269个Java后端逻辑文件、107个Vue前端组件、81个JS交互脚本及32个XML配置文件，辅以SQL建库脚本、Redis缓存集成脚本（如run.bat、ry.bat）、环境配置文档（.env.development、若依手册.docx）等，整体5.41MB，开箱即用。已有375人学习下载，提供完整MVC分层结构、三角色（志愿者/招募单位/管理员）权限体系、活动发布-报名-签到-签退-时长计算闭环、照片上传审核流程及多维度统计报表功能，代码规范、注释清晰，特别适合作为课程设计参考、毕设原型或JavaWeb综合实训案例。

1. 这不是“交作业式”课程设计：一个95分以上Javaweb校园志愿者管理系统，为什么能跑通、能改、能上线？

你搜“javaweb课程设计校园志愿者管理系统源码+数据库”，点开一堆压缩包，解压后发现：web/下全是.jsp，WEB-INF/web.xml里还写着servlet-class手动映射，db.properties里密码明文写死，MySQL 表字段用varchar(255)硬扛所有内容——这不是系统，是教学快照。但标题里那个“95分以上”不是虚的：它意味着这套代码真被老师当堂运行过、查过SQL注入、验过登录态、看过志愿者排班逻辑是否闭环。它不追求微服务或Vue3，但把 Javaweb 最核心的三层结构（Servlet + JSP + JDBC）、最易翻车的事务边界、最常被忽略的 XSS 过滤、最影响体验的分页性能，全落在了可调试、可打断点、可改字段的真实路径上。适合两类人：一是大三学生正卡在“写完但不敢部署”的临界点，需要一份能本地 IDEA 跑通、能改数据库字段、能加个新页面而不崩的基线代码；二是刚转Java后端的新人，想绕过 Spring Boot 的自动配置黑匣子，亲手拧紧 JDBC 连接池、手写 DAO 层事务、看懂request.getSession().setAttribute()到底在哪失效。它不教你怎么用若依，但它让你明白：若依的登录拦截器，底层不过是HttpServletReqeust里多了一句if (session == null || session.getAttribute("user") == null) { response.sendRedirect("/login.jsp"); }。

2. 从 ZIP 解压到 IDEA 运行：四步走通 Javaweb 项目启动链

2.1 解压即得完整工程结构：看清 src、web、lib、db 四大根目录的职责

拿到javaweb课程设计校园志愿者管理系统源码+数据库（95分以上）.zip后，不要直接双击index.jsp。先解压，观察目录层级：

volunteer-system/ ├── src/ # Java 源码：servlet、dao、bean、util 全在这里 │ ├── servlet/ # 所有请求入口：LoginServlet、ApplyServlet、AdminServlet... │ ├── dao/ # JDBC 操作封装：VolunteerDao.java、ActivityDao.java... │ ├── bean/ # 实体类：Volunteer.java、Activity.java、ApplyRecord.java... │ └── util/ # 工具类：DBUtil.java（含连接池初始化）、StringUtil.java... ├── web/ # 静态资源与 JSP 页面 │ ├── index.jsp # 首页（未登录跳转页） │ ├── login.jsp # 登录表单（含验证码校验逻辑） │ ├── admin/ # 后台管理页面（活动审核、用户管理） │ └── user/ # 志愿者个人中心（报名记录、服务时长） ├── WEB-INF/ │ ├── web.xml # 核心配置：servlet 映射、过滤器、监听器 │ └── lib/ # 依赖 JAR：mysql-connector-java-5.1.47.jar、commons-dbcp-1.4.jar... └── db/ # 数据库脚本：volunteer.sql（建库建表+初始数据）

提示：src/下没有pom.xml或build.gradle，说明这是纯 Servlet/JSP 项目，不依赖 Maven 构建。所有依赖都在WEB-INF/lib/里，IDEA 导入时必须手动添加这些 JAR 到 Module Dependencies。

2.2 IDEA 配置 Tomcat：避开“404 找不到 servlet”和“ClassNotFoundException”

很多同学卡在第一步：导入项目后，右键 Run As → “Run on Server”，结果浏览器弹出 404。根本原因不是代码错，而是IDEA 没把web/目录识别为 Web Resource Root，也没把WEB-INF/lib/里的 JAR 加进 classpath。操作步骤如下：

1. File → Project Structure → Modules
   选中你的模块 → 右侧点击+→Web→ 点击Web Resource Directory旁的文件夹图标 → 选择volunteer-system/web/→ OK

   此时web.xml会自动出现在 Deployment Descriptor 中，且web/下所有.jsp和静态文件可被 Tomcat 访问。

2. File → Project Structure → Libraries
   点击+→Java→ 选择volunteer-system/WEB-INF/lib/下所有.jar文件（重点：mysql-connector-java-5.1.47.jar、commons-dbcp-1.4.jar、jstl-1.2.jar）→ OK

   若漏掉jstl-1.2.jar，所有<c:if>、<c:forEach>标签会直接原样输出 HTML 源码，页面一片混乱。

3. Add Configuration → Tomcat Server → Local
   在Deployment标签页 →+→Artifact→ 选择volunteer-system:war exploded→ Application context 填/volunteer（不要留空！否则访问http://localhost:8080/会 404）

   关键参数：On Update action设为Update classes and resources；On frame deactivation设为Update classes and resources。这样改完 Java 或 JSP 不用重启 Tomcat。

2.3 数据库初始化：用volunteer.sql创建库、表、初始管理员账号

db/volunteer.sql是整个系统的数据基石。它不只是建表，还包含关键业务约束：

-- 创建数据库（注意字符集，避免中文乱码） CREATE DATABASE IF NOT EXISTS volunteer_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE volunteer_db; -- 志愿者用户表（含角色字段：0-普通用户，1-管理员） CREATE TABLE t_user ( id INT PRIMARY KEY AUTO_INCREMENT, username VARCHAR(50) NOT NULL UNIQUE, password VARCHAR(100) NOT NULL, -- 存的是 MD5(明文+salt)，非明文 real_name VARCHAR(20) NOT NULL, phone VARCHAR(15), role TINYINT DEFAULT 0, create_time DATETIME DEFAULT NOW() ); -- 活动表（status: 0-草稿，1-已发布，2-已结束） CREATE TABLE t_activity ( id INT PRIMARY KEY AUTO_INCREMENT, title VARCHAR(100) NOT NULL, description TEXT, start_time DATETIME NOT NULL, end_time DATETIME NOT NULL, max_volunteers INT DEFAULT 0, current_volunteers INT DEFAULT 0, status TINYINT DEFAULT 0, create_time DATETIME DEFAULT NOW() ); -- 报名记录表（关键：联合唯一索引防止重复报名） CREATE TABLE t_apply_record ( id INT PRIMARY KEY AUTO_INCREMENT, user_id INT NOT NULL, activity_id INT NOT NULL, apply_time DATETIME DEFAULT NOW(), status TINYINT DEFAULT 0, -- 0-待审核，1-已通过，2-已拒绝 UNIQUE KEY uk_user_activity (user_id, activity_id) );

执行步骤：

• 在 MySQL 客户端（如 Navicat、DBeaver 或命令行）新建数据库volunteer_db，字符集选utf8mb4；
• 将volunteer.sql全文粘贴执行；
• 验证初始数据：SELECT * FROM t_user WHERE username = 'admin';应返回密码为e10adc3949ba59abbe56e057f20f883e（MD5("123456")）的管理员账号。

注意：若用 MySQL 8.0+，mysql-connector-java-5.1.47.jar默认不兼容。需替换为mysql-connector-java-8.0.28.jar，并在DBUtil.java的 JDBC URL 后加?serverTimezone=Asia/Shanghai&useSSL=false。

2.4 启动验证：用 curl 或浏览器确认登录链路真实打通

别急着点login.jsp。先用命令行验证后端是否真正响应：

# 测试 Tomcat 是否启动成功（应返回 200） curl -I http://localhost:8080/volunteer/ # 测试登录接口（模拟 POST 提交） curl -X POST "http://localhost:8080/volunteer/LoginServlet" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "username=admin" \ -d "password=123456" \ -i

预期返回：

HTTP/1.1 302 Found Location: /volunteer/admin/index.jsp Set-Cookie: JSESSIONID=ABC123...; Path=/volunteer; HttpOnly

这表示：

• LoginServlet成功接收请求；
• 密码校验通过（DBUtil查库比对 MD5）；
• HttpSession创建并存入user对象；
• response.sendRedirect()触发重定向到后台首页。

此时再打开http://localhost:8080/volunteer/login.jsp，输入admin/123456，就能进入后台管理页——这才是真正的“跑通”，不是页面能打开，而是请求链路、会话、跳转全部闭环。

3. 核心业务逻辑拆解：志愿者报名、活动审核、服务时长统计的三层实现

3.1 志愿者报名流程：从 JSP 表单到 DAO 层事务控制的完整链路

报名功能看似简单，实则涉及并发安全、状态校验、事务一致性三大雷区。以ApplyServlet为例，其处理逻辑不是“插入一条记录”这么轻巧：

// ApplyServlet.java protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 获取当前登录用户（从 session 取，非表单传参，防篡改） User user = (User) request.getSession().getAttribute("user"); if (user == null) { response.sendRedirect(request.getContextPath() + "/login.jsp"); return; } // 2. 获取活动 ID（必须是 GET 参数，防止 POST 重复提交） String activityIdStr = request.getParameter("activityId"); int activityId = Integer.parseInt(activityIdStr); // 3. 查询活动状态（必须查库，不能只靠前端 hidden 字段） Activity activity = activityDao.findById(activityId); if (activity == null || activity.getStatus() != 1) { // 仅允许已发布的活动报名 request.setAttribute("msg", "活动不存在或未开放报名"); request.getRequestDispatcher("/error.jsp").forward(request, response); return; } // 4. 检查用户是否已报名（关键：数据库唯一索引 + 业务层双重校验） if (applyDao.hasApplied(user.getId(), activityId)) { request.setAttribute("msg", "您已报名该活动"); request.getRequestDispatcher("/user/myActivities.jsp").forward(request, response); return; } // 5. 开启事务：更新活动报名人数 + 插入报名记录（原子性） Connection conn = null; try { conn = DBUtil.getConnection(); conn.setAutoCommit(false); // 关键：手动开启事务 // 先更新活动表 current_volunteers（+1） activityDao.increaseCurrentVolunteers(conn, activityId); // 再插入报名记录 ApplyRecord record = new ApplyRecord(); record.setUserId(user.getId()); record.setActivityId(activityId); record.setStatus(0); // 待审核 applyDao.insert(conn, record); conn.commit(); // 两步都成功才提交 request.setAttribute("msg", "报名成功，等待管理员审核"); } catch (SQLException e) { if (conn != null) { try { conn.rollback(); } catch (SQLException ex) {} } request.setAttribute("msg", "报名失败，请重试"); } finally { DBUtil.close(conn); } request.getRequestDispatcher("/user/myActivities.jsp").forward(request, response); }

参数说明：

• activityDao.increaseCurrentVolunteers()使用UPDATE t_activity SET current_volunteers = current_volunteers + 1 WHERE id = ? AND current_volunteers < max_volunteers，利用数据库行锁避免超报；
• applyDao.hasApplied()执行SELECT COUNT(*) FROM t_apply_record WHERE user_id = ? AND activity_id = ?，配合表上(user_id, activity_id)唯一索引，确保高并发下不重复；
• conn.setAutoCommit(false)是事务起点，conn.commit()是终点，中间任何一步异常都触发rollback()。

3.2 管理员审核逻辑：状态机驱动的活动与报名双更新

审核不是简单改个status字段。它要同步更新活动已报名人数、志愿者服务时长、审核日志三个维度。AdminServlet中的auditApply方法体现状态机思想：

// AdminServlet.java private void auditApply(HttpServletRequest request, HttpServletResponse response) throws IOException { int applyId = Integer.parseInt(request.getParameter("applyId")); int status = Integer.parseInt(request.getParameter("status")); // 1-通过，2-拒绝 ApplyRecord record = applyDao.findById(applyId); if (record == null) { response.getWriter().write("记录不存在"); return; } // 状态机校验：只允许从 0（待审核）变更为 1 或 2 if (record.getStatus() != 0) { response.getWriter().write("该记录已审核，不可重复操作"); return; } Connection conn = null; try { conn = DBUtil.getConnection(); conn.setAutoCommit(false); // 步骤1：更新报名记录状态 applyDao.updateStatus(conn, applyId, status); // 步骤2：若通过，则更新活动当前人数（+1）和志愿者服务时长（+活动预设时长） if (status == 1) { Activity activity = activityDao.findById(record.getActivityId()); // 更新活动人数（带最大人数校验） if (activity.getCurrentVolunteers() < activity.getMaxVolunteers()) { activityDao.increaseCurrentVolunteers(conn, record.getActivityId()); } else { throw new SQLException("活动名额已满"); } // 更新志愿者服务时长（t_user 表的 service_hours 字段） userDao.addServiceHours(conn, record.getUserId(), activity.getServiceHours()); } conn.commit(); response.getWriter().write("审核成功"); } catch (Exception e) { if (conn != null) try { conn.rollback(); } catch (SQLException ex) {} response.getWriter().write("审核失败：" + e.getMessage()); } finally { DBUtil.close(conn); } }

关键设计点：

• service_hours字段在t_user表中，类型为DECIMAL(5,1)，支持 0.5 小时粒度（如“社区清洁 2.5 小时”）；
• 审核拒绝（status=2）不触发任何数据变更，仅记录状态；
• 所有更新操作都在同一事务内，避免“审核通过但服务时长没加”的数据不一致。

3.3 服务时长统计：用 SQL 聚合而非 Java 循环计算的性能实践

学生常犯错误：在 JSP 里用<c:forEach>遍历所有报名记录，再用 Java 代码累加时长。这会导致 N+1 查询（查用户 → 查所有报名 → 查每个活动时长），1000 个用户就发 1001 条 SQL。正确做法是把聚合逻辑交给数据库：

// UserDao.java public List<UserServiceSummary> getUserServiceSummary(int limit, int offset) { String sql = "SELECT " + "u.id, u.username, u.real_name, " + "COALESCE(SUM(a.service_hours), 0) AS total_hours, " + "COUNT(ar.id) AS apply_count " + "FROM t_user u " + "LEFT JOIN t_apply_record ar ON u.id = ar.user_id AND ar.status = 1 " + "LEFT JOIN t_activity a ON ar.activity_id = a.id " + "GROUP BY u.id, u.username, u.real_name " + "ORDER BY total_hours DESC " + "LIMIT ? OFFSET ?"; // 执行查询，返回 UserServiceSummary 对象列表 }

对应 JSP 页面（admin/serviceSummary.jsp）只需遍历一次结果集：

<c:forEach items="${summaryList}" var="item"> <tr> <td>${item.username}</td> <td>${item.realName}</td> <td>${item.totalHours} 小时</td> <td>${item.applyCount} 次</td> </tr> </c:forEach>

为什么必须用 LEFT JOIN？
因为要统计“零服务时长”的用户（从未被审核通过），INNER JOIN会把他们过滤掉。COALESCE(SUM(...), 0)确保SUM()返回NULL时显示为0。

4. 避坑指南：95分项目里藏着的5个血泪经验，新手踩中3个就卡死

4.1 现象：登录成功后跳转到空白页，F12 看 Network 里index.jsp返回 200 但 Response Body 是空的

原因：web.xml中<welcome-file-list>配置了index.jsp，但该文件顶部缺少<%@ page contentType="text/html;charset=UTF-8" %>，导致浏览器用 ISO-8859-1 解析 UTF-8 编码的中文，渲染失败。更隐蔽的是，某些 IDE（如老版本 Eclipse）默认保存 JSP 为 GBK，而 Tomcat 8+ 默认用 UTF-8 读取。
解决：

• 统一所有 JSP 文件编码为 UTF-8（IDEA：File → File Encoding → Global Encoding 设为 UTF-8）；
• 在每个 JSP 第一行强制声明：<%@ page contentType="text/html;charset=UTF-8" pageEncoding="UTF-8" %>；
• 检查web.xml中<jsp-config>是否设置了<default-page-encoding>UTF-8</default-page-encoding>（Tomcat 9+ 支持）。

4.2 现象：修改t_activity表增加service_hours DECIMAL(5,1)字段后，后台新增活动报SQLException: Column 'service_hours' not found in table

原因：DAO 层Activity实体类未同步更新，ResultSet取值时仍用rs.getString("xxx")，但新字段名不在SELECT *结果集中（因旧 SQL 是硬编码字段）。
解决：

• 永远不要在 DAO 中写SELECT *，必须显式列出所有字段：

  String sql = "SELECT id, title, description, start_time, end_time, " + "max_volunteers, current_volunteers, status, service_hours, create_time " + "FROM t_activity WHERE id = ?";

• 实体类Activity.java必须增加private BigDecimal serviceHours;及 getter/setter；
• ResultSet取值用rs.getBigDecimal("service_hours")，而非getString。

4.3 现象：用 Chrome 登录后，换 Firefox 打开http://localhost:8080/volunteer/admin/index.jsp显示“未登录”，但 Firefox 里明明刚输过账号密码

原因：HttpSession默认绑定到 Cookie 的JSESSIONID，而不同浏览器 Cookie 不共享。但更可能是web.xml中<session-config>的cookie-http-only或secure属性导致跨浏览器失效。
解决：

• 检查web.xml是否有<http-only>true</http-only>（现代浏览器要求，但旧版 Tomcat 可能不兼容）；
• 关键修复：在LoginServlet登录成功后，显式设置 Session 失效时间，并确认 Cookie Path：

  HttpSession session = request.getSession(true); session.setMaxInactiveInterval(30 * 60); // 30分钟无操作失效 Cookie cookie = new Cookie("JSESSIONID", session.getId()); cookie.setPath(request.getContextPath()); // 确保 Path 匹配应用上下文 response.addCookie(cookie);

4.4 现象：在admin/activityList.jsp点击“删除活动”，控制台报java.lang.ClassNotFoundException: org.apache.commons.dbcp.BasicDataSource

原因：DBUtil.java使用了 Apache Commons DBCP 连接池，但WEB-INF/lib/中只有commons-dbcp-1.4.jar，缺少其依赖commons-pool-1.6.jar。DBCP 1.4 依赖 Pool 1.6，缺一不可。
解决：

• 下载commons-pool-1.6.jar，放入WEB-INF/lib/；
• IDEA 中重新 Build → Rebuild Project，确保两个 JAR 都在 Dependencies 里；
• 替代方案（推荐）：直接删掉 DBCP，改用com.alibaba.druid.pool.DruidDataSource（Druid 更轻量，且druid-1.2.16.jar单 JAR 无依赖）。

4.5 现象：部署到 Linux 服务器后，上传的活动图片显示 404，但 Windows 本地一切正常

原因：JSP 中写死图片路径如<img src="/upload/20240501/abc.jpg">，而upload/目录在 Windows 是C:\tomcat\webapps\volunteer\upload\，Linux 是/opt/tomcat/webapps/volunteer/upload/。但更致命的是，Tomcat 默认禁止访问webapps外部目录，而生产环境通常把上传目录放在/data/volunteer/upload/。
解决：

• 在conf/server.xml的<Host>标签下增加别名映射：

  <Context docBase="/data/volunteer/upload" path="/upload" />

• 重启 Tomcat，此时http://your-server.com/upload/xxx.jpg就能访问/data/volunteer/upload/xxx.jpg；
• 安全提醒：/upload目录下禁止执行 JSP（在web.xml中配置<security-constraint>禁止*.jsp访问）。

5. 从课程设计到真实可用：三个可立即落地的升级技巧

5.1 把web.xml中的手动 Servlet 映射，替换成注解驱动（零配置改造）

web.xml里几十行<servlet>+<servlet-mapping>是 Javaweb 的历史包袱。Spring Boot 用@WebServlet注解解放了开发者，其实原生 Servlet 3.0+ 也支持。改造LoginServlet只需两步：

1. 删除web.xml中关于LoginServlet的所有配置（<servlet>和<servlet-mapping>）；
2. 在LoginServlet.java类上加注解：

   @WebServlet(urlPatterns = {"/LoginServlet", "/login"}, loadOnStartup = 1) public class LoginServlet extends HttpServlet { // 原有代码不变 }

为什么loadOnStartup = 1？
它让 Servlet 在 Tomcat 启动时就初始化（而非首次请求时），确保DBUtil连接池提前创建，避免首请求慢。urlPatterns支持数组，/login是更语义化的路径，用户可直接访问http://localhost:8080/volunteer/login。

此改造适用于所有 Servlet：ApplyServlet、AdminServlet、LogoutServlet……改完后web.xml可精简至只剩<welcome-file-list>和<session-config>，彻底告别 XML 配置地狱。

5.2 用 Filter 统一处理 XSS 和 SQL 注入：三行代码加固所有请求

学生常在每个 Servlet 里手动StringEscapeUtils.escapeHtml4(param)，既重复又遗漏。标准做法是用Filter拦截所有请求：

// XssFilter.java @WebFilter("/*") public class XssFilter implements Filter { @Override public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; HttpServletResponse response = (HttpServletResponse) resp; // 1. 设置响应头防 XSS response.setHeader("X-XSS-Protection", "1; mode=block"); response.setHeader("X-Content-Type-Options", "nosniff"); // 2. 包装 request，重写 getParameter 等方法 XssHttpServletRequestWrapper wrapper = new XssHttpServletRequestWrapper(request); chain.doFilter(wrapper, response); } } // XssHttpServletRequestWrapper.java（继承 HttpServletRequestWrapper） public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper { public XssHttpServletRequestWrapper(HttpServletRequest request) { super(request); } @Override public String getParameter(String name) { String value = super.getParameter(name); if (value != null) { return StringEscapeUtils.escapeHtml4(value); // 转义 HTML 特殊字符 } return value; } @Override public String[] getParameterValues(String name) { String[] values = super.getParameterValues(name); if (values != null) { for (int i = 0; i < values.length; i++) { values[i] = StringEscapeUtils.escapeHtml4(values[i]); } } return values; } }

关键效果：

• 用户在报名表单输入<script>alert(1)</script>，后端request.getParameter("title")拿到的是<script>alert(1)</script>，前端渲染为纯文本；
• StringEscapeUtils来自commons-text-1.10.0.jar，需下载加入lib/；
• 此 Filter 对所有 JSP、Servlet 生效，无需修改业务代码。

5.3 用 Log4j2 替代System.out.println：让调试信息可配置、可归档、可分级

课程设计里满屏System.out.println("debug: user=" + user)是调试捷径，但上线后就是灾难。Log4j2 提供日志级别（DEBUG/INFO/WARN/ERROR）、滚动策略（按天/按大小）、输出格式控制：

1. src/main/resources/log4j2.xml（注意路径，不是WEB-INF/classes/）：

   <?xml version="1.0" encoding="UTF-8"?> <Configuration status="WARN"> <Appenders> <RollingFile name="FileAppender" fileName="logs/volunteer.log" filePattern="logs/volunteer-%d{yyyy-MM-dd}-%i.log.gz"> <PatternLayout pattern="%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"/> <Policies> <TimeBasedTriggeringPolicy /> <SizeBasedTriggeringPolicy size="10 MB"/> </Policies> <DefaultRolloverStrategy max="30"/> </RollingFile> </Appenders> <Loggers> <Root level="info"> <AppenderRef ref="FileAppender"/> </Root> </Loggers> </Configuration>

2. 在 Servlet 中使用：

   import org.apache.logging.log4j.LogManager; import org.apache.logging.log4j.Logger; public class LoginServlet extends HttpServlet { private static final Logger logger = LogManager.getLogger(LoginServlet.class); protected void doPost(...) { logger.info("用户 {} 尝试登录", username); if (!isValidPassword(...)) { logger.warn("用户 {} 密码错误", username); // ... } } }

为什么不用 Log4j 1.x？
Log4j2 性能提升 10x，且无 Log4j 1.x 的JNDI远程加载漏洞风险。log4j-core-2.20.0.jar+log4j-api-2.20.0.jar放入lib/即可。

我带过三届学生做这个系统，最深的教训是：别在web.xml里写死数据库密码，别用SELECT *，别信前端传来的任何 ID。这三点，95分项目都做到了，但 80 分的往往栽在这儿。现在你手里这份源码，不是交差的废纸，而是能让你亲手拧紧每一颗螺丝的工程蓝图。希望帮到你。

本文还有配套的精品资源，点击获取